SIC - Concepto-15126777

Bogotá D.C., 10

Asunto: Radicación: 15-126777- -00008-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 5

Respetado(a) Señor (a): [Datos personales eliminados. Ley 1266 de 2008; Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número que se indica en el asunto, en los siguientes términos: Nos permitimos suministrarle información relevante en relación con los interrogantes de su consulta, con el fin de brindarle mayores elementos de juicio al respecto. Lo anterior, teniendo en cuenta que mediante un concepto esta Oficina no puede resolver situaciones particulares de los peticionarios. Primer interrogante “1. ¿Cómo accede una compañía para realizar el registro de las bases de datos Manual de Usuario del Registro Nacional de Bases de Datos – RNBD, en que link esta, como se obtiene el usuario y la contraseña, es a nivel compañía?” Respuesta: La Ley 1581 de 2012, en su artículo 21 señala, entre otras, las siguientes funciones para esta Superintendencia: e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley. (…) h) Administrar el Registro Nacional Público de Bases de Datos y emitir las órdenes y los actos necesarios para su administración y funcionamiento. Por lo anterior, esta Superintendencia elaboró el proyecto de Circular Externa para la

implementación del Registro Nacional de Bases de Datos y el Manual del Usuario, los cuales fueron publicados en nuestra página web www.sic.gov.co a través del icono \"Normativa\", escoge \"proyectos de circular\" y allí encontrará los documentos en versión PDF. Lo anterior, con el fin de recibir los comentarios del público en general hasta el pasado 26 de febrero de 2015 y expedir el documento definitivo para su posterior publicación en el Diario Oficial para su cumplimiento, por lo cual, le sugerimos estar pendiente de las instrucciones que expida esta Superintendencia. Con respecto al Manual de Usuario del Registro de Bases de Datos pregunta lo siguiente: Segundo interrogante “Ubicación de bd\'s En esta parte, ¿se debe registrar explícitamente la dirección y lugar de la ubicación de los servidores en donde están (sic) los datacenter’s?” Respuesta: Esta Oficina Asesora Jurídica solicito la información sobre su interrogante a la Delegatura de Protección de Daros Personales, y mediante memorando 15-126777-7-0 el Superintendente Delegado para la Protección de Datos Personales manifestó lo siguiente: “No es necesario registrar la dirección ni el lugar de ubicación de los servidores en los que se encuentran el datacenter. Al respecto, solamente se debe indicar si la base de datos se encuentra almacenada en medios propios, por ejemplo archivadores o servidores (dependiendo de si se trata de un archivo físico o una base de datos electrónica), internos o externos a las instalaciones físicas del responsable.” Tercer interrogante “¿Para qué se utilizará esta información en la posteridad?” “Respuesta: La información relacionada con la ubicación de la base de datos será utilizada para en ejercicio de las funciones de supervisión atribuidas a la Delegatura para la Protección de Datos Personales, encargada de velar por el

cumplimiento de la legislación en materia de protección de datos personales. Por esta razón esa información no estará disponible al público para su consulta.” Cuarto interrogante “Internacional La información que nosotros como compañía le enviemos a proveedores del extranjero o que los clientes del extranjero nos provean, vale como base de datos como tal? Puesto que son transacciones lo que se realizan no transferencia de información como tal? Para una empresa que maneja proveedores del extranjero y clientes del extranjero se debe diligenciar este ítem? Si es así, En qué casos?” Respuesta: Esta Oficina Asesora Jurídica solicito la información sobre su interrogante a la Delegatura de Protección de Daros Personales, y mediante memorando 15-126777-7-0 el Superintendente Delegado para la Protección de Datos Personales manifestó lo siguiente: “De acuerdo con lo establecido en el numeral 4 del artículo 2.2.2.25.1.3, Sección 1, Capitulo 25 del Decreto 1074 de 2015, por el cual se expide el Decreto Único Reglamentario del Sector Comerci9o, Industria y Turismo, (i) a transferencia de datos tiene lugar cuando el Responsable y/o Encargado del Tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez, es Responsable del Tratamiento y se encuentra dentro o fuera del país\" En tal sentido, si el responsable del tratamiento realiza trasferencia internacional de datos personales, acorde con lo señalado en la citada norma, deberá inscribir dicha operación en el Registro Nacional de Bases de Datos\" Quinto interrogante

“Titular Por favor explicar detalladamente el titular de la base de datos quien es, el administrador técnico de la base de datos, la persona que manipula, registra y consulta la base de datos”.

Respuesta: El Superintendente Delegado para la Protección de Datos Personales señaló lo siguiente: “De acuerdo con las definiciones contenidas en el artículo 3 de la Ley 1581 de 2012, Titular es la persona natural cuyos datos personales sean objeto de

Tratamiento. Ahora bien, de acuerdo con la citada norma, Responsable del Tratamiento es la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos”. Por lo anterior, se aclara que \"el administrador técnico de la base de datos, la persona que manipula, registra y consulta la base de datos\" no es ni Titular de la base de datos ni Responsable del Tratamiento, en los términos señalados en la ley.” Sexto interrogante “Si en alguno de los ítems de los controles de seguridad tenemos los controles, pero no documentados como proceso en el sistema de calidad de nuestra compañía, deberíamos colocar el check en SI? O se debe tener evidencia de que el proceso estaba estipulado y a partir de qué fecha?” Respuesta: Esta Oficina Asesora Jurídica solicito la información sobre su interrogante a la Delegatura de Protección de Daros Personales, y mediante memorando 15-126777-7-0 el Superintendente Delegado para la Protección de Datos Personales manifestó lo siguiente: “Para aquellas preguntas de control contenidas en el Registro Nacional de Bases de Datos en las que se interroga si está documentado dicho control y no cuenta con la documentación necesaria, no se debe marcar la casilla de

verificación o check box. Para las preguntas que no interrogan acerca de la documentación sino de la implementación del control se podrá marcar la casilla de verificación o check box siempre y cuando se cuente con evidencia técnica de dicha implementación.” Finalmente, respecto a su solicitud de obtener el manual en versión de Word y no PDF, es necesario advertir que los actos emitidos por esta Superintendencia se expiden en formato PDF con el fin de evitar adulteración en su contenido. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta entidad, puede consultar nuestra página de internet www.sic.gov.co Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Carolina García

Revisó: William Burgos

Aprobó: William Burgos